ID d'événement Windows 4739 – Microsoft-Windows-Security-Auditing : Compte utilisateur modifié

Ouvrez Observateur d'événements et accédez à Journaux Windows → Sécurité pour examiner les détails de l'ID d'événement 4739.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Développez Journaux Windows et cliquez sur Sécurité
3. Cliquez avec le bouton droit sur le journal Sécurité et sélectionnez Filtrer le journal actuel
4. Entrez 4739 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 4739 pour voir des informations détaillées
6. Examinez l'onglet Général pour les noms de compte, les horodatages et les détails des modifications
7. Vérifiez l'onglet Détails pour les données XML brutes incluant les modifications d'attributs spécifiques

Les champs clés à examiner incluent Sujet (qui a effectué la modification), Compte cible (compte modifié), et Attributs modifiés listant les propriétés spécifiques qui ont été altérées.

Utilisez PowerShell pour filtrer et analyser les occurrences de l'ID d'événement 4739 avec des critères spécifiques.

# Obtenez les événements récents de changement de compte utilisateur
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4739} -MaxEvents 50 | 
    Select-Object TimeCreated, Id, LevelDisplayName, Message

# Filtrer les événements pour un compte utilisateur spécifique
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4739}
$Events | Where-Object {$_.Message -like '*john.doe*'} | 
    Format-Table TimeCreated, Message -Wrap

# Exporter les événements vers un fichier CSV pour analyse
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4739} -MaxEvents 1000 | 
    Select-Object TimeCreated, Id, LevelDisplayName, 
    @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'})[0]}}, 
    @{Name='Changes';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Changed Attributes:*'})[0]}} | 
    Export-Csv -Path "C:\Temp\UserAccountChanges.csv" -NoTypeInformation

Cette approche fournit un accès programmatique aux données d'événements pour une analyse et un reporting automatisés.

Assurez-vous de configurer correctement la politique d'audit pour capturer des événements complets de changement de compte utilisateur.

1. Ouvrez Group Policy Management Console ou exécutez gpedit.msc pour la politique locale
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Gestion des comptes et double-cliquez sur Audit de la gestion des comptes utilisateur
4. Activez Configurer les événements d'audit suivants et cochez à la fois Succès et Échec
5. Appliquez la politique et exécutez gpupdate /force pour actualiser les paramètres

# Vérifiez les paramètres actuels de la politique d'audit
auditpol /get /subcategory:"User Account Management"

# Activez l'audit de la gestion des comptes utilisateur via la ligne de commande
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

# Vérifiez l'efficacité de la politique d'audit
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4739} -MaxEvents 1 | 
    Select-Object TimeCreated, Message

Une configuration d'audit appropriée garantit que toutes les modifications de compte utilisateur génèrent des entrées d'ID d'événement 4739 pour la conformité et la surveillance de la sécurité.

Créer des scripts PowerShell pour analyser et examiner les changements d'attributs spécifiques à partir des messages d'ID d'événement 4739.

# Fonction pour analyser les changements d'attributs de l'ID d'événement 4739
function Parse-UserAccountChanges {
    param([int]$Days = 7)
    
    $Events = Get-WinEvent -FilterHashtable @{
        LogName='Security'
        Id=4739
        StartTime=(Get-Date).AddDays(-$Days)
    }
    
    foreach ($Event in $Events) {
        $Message = $Event.Message
        $Lines = $Message -split '\r?\n'
        
        $AccountName = ($Lines | Where-Object {$_ -match 'Account Name:\s*(.+)'}) -replace '.*Account Name:\s*', ''
        $SubjectName = ($Lines | Where-Object {$_ -match 'Subject.*Account Name:\s*(.+)'}) -replace '.*Account Name:\s*', ''
        $ChangedAttribs = ($Lines | Where-Object {$_ -match 'Changed Attributes:'}) -replace '.*Changed Attributes:\s*', ''
        
        [PSCustomObject]@{
            TimeCreated = $Event.TimeCreated
            ModifiedAccount = $AccountName
            ModifiedBy = $SubjectName
            ChangedAttributes = $ChangedAttribs
            EventId = $Event.Id
        }
    }
}

# Exécuter l'analyse
$Changes = Parse-UserAccountChanges -Days 30
$Changes | Format-Table -AutoSize

# Grouper par compte modifié pour voir les motifs
$Changes | Group-Object ModifiedAccount | 
    Select-Object Name, Count, @{Name='LastChange';Expression={($_.Group | Sort-Object TimeCreated -Descending)[0].TimeCreated}}

Cette méthode offre des capacités d'analyse détaillées pour l'enquête judiciaire et le rapport de conformité.

Configurer le transfert d'événements Windows et l'intégration SIEM pour la surveillance centralisée des modifications de comptes d'utilisateur.

1. Configurer le transfert d'événements Windows sur les contrôleurs de domaine et les serveurs membres
2. Créer un abonnement de transfert d'événements personnalisé pour l'ID d'événement 4739
3. Configurer des règles d'analyse SIEM pour les événements de modification de comptes d'utilisateur

# Configurer WinRM pour le transfert d'événements (exécuter sur le serveur collecteur)
winrm quickconfig
wecutil qc

# Créer un fichier XML d'abonnement aux événements
$SubscriptionXML = @'
<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>UserAccountChanges</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Transférer les événements de modification de comptes d'utilisateur</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <ConfigurationMode>Normal</ConfigurationMode>
    <Query>
        <![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="Security">*[System[EventID=4739]]</Select>
            </Query>
        </QueryList>
        ]]>
    </Query>
</Subscription>
'@

# Enregistrer et créer l'abonnement
$SubscriptionXML | Out-File -FilePath "C:\Temp\UserAccountChanges.xml"
wecutil cs "C:\Temp\UserAccountChanges.xml"

# Vérifier le statut de l'abonnement
wecutil gs UserAccountChanges

Les environnements d'entreprise devraient mettre en œuvre une journalisation centralisée avec des alertes automatisées pour les modifications suspectes de comptes d'utilisateur, en particulier les escalades de privilèges ou les modifications en masse.